磐舟DevSecOps平台安全能力 03 磐舟DevSecOps实践总结 ## 磐舟DevSecOps安全能力建设框架 ## 一 个体系、两个方向、四个环节 ## 安全开发 安全需求分析 SCA • SAST ## 安全测试 灰盒扫描IAST • 镜像安全 APP扫描 CODE BUILD DEV BUILD TIME TEST SEC DEPLOY OPERATE OPS RUN 许可证合规分析 自动化修复技术 ## 可防 100% 流程覆盖 安全可信私有源 供应链准入审查 供应链准出机制 ✓ 过程持续验证 缺点 只能检测已知 漏洞 ## 安全开发-代码扫描SAST 源代码审计针对源代码缺陷进行静态分析检测。它在对目标软件代码进行语法、语义分析的技术上，辅以数据流分析、控制流分析和特有的缺陷分析算法等高级静态分析手段，能够高效的检测出软件源代码中的可能导致 人工安全标记 告警处置 木马病毒上传 恶意命令执行 ## 内置风险策略 容器逃逸 其他风险策略 ## DevSecOps安全防护流程 从源头进行安全加固：上线前安全需求分析、代码扫描SAST\软件成分分析SCA、灰盒扫描IAST、镜像扫描、APP扫描，提前预防安全风险。上线后持续进行安全防护：定期进行镜像扫描、基线合规检测、运行时通过容器安全与微隔离软件对容器运行实时监测。 第三方开源

虑静态应用安全测试和软件成分分析两个方面。 ## (1) 静态应用安全测试 SAST 与人工代码审查相比，具有效率高、结果一致等优点，属于白盒测试的一种。利用 SAST 工具进行检测不需要运行测试的应用程序，而且理论上可以覆盖所有可能的程序路径，检测出来的漏洞多而全，但由于未对运行应用程序进行检测，因此 SAST 工具检测出的风险会存在一定程度的误报。 ## (2) 软件成分分析 SCA 针 付环境应进行漏洞的持续检测，加强制品流转安全。 #### 4.1.4 安全检测 由于 web 应用是获取敏感数据最近的渠道, 所以 web 应用是攻击者最关注的攻击目标, 虽然可能已经建立了 SAST 能力, 但许多漏洞只能通过对正在运行的动态应用程序进行安全测试才能发现, 需尽可能构建多样化互补的安全自动化测试能力, 让应用中存在的安全漏洞、不安全的隐患尽可能在上线前暴露出来并及时修复, 降低应用研发迭代过程中的安全问题修复成本 Protection|运行时应用程序自保护| |RBAC|Role Based Access Control|基于角色的访问控制| |REST|Representational State Transfer|表述性状态传递| |SAST|Static Application Security Testing|静态应用安全测试| ## 云原生安全威胁分析与能力建设白皮书 |SCA|Software Composition Analysis|软件成分分析|

略，解决新问题并及时隔离或者解决！ DevSecOps 标准化能力-承载无忧-E2E云原生纵深安全保障-4-技术建议方案 |技术|说明|优点|缺点| |---|---|---|---| |SAST(静态应用程序安全测试)|白盒测试，通过污点跟踪对源代码或者二进制程序（也包括Docker镜像等）进行静态扫描，尽可能前置，在IDE编写代码或者提交代码时进行，将极大优化整体效率和成本|可以无视环 |IAST(交互式应用程序安全测试)|结合了上面两种的优点并克服其缺点，将SAST和DAST相结合，通过插桩等手段在运行时进行污点跟踪，进而精准的发现问题。是DevSecOps的一种推荐方式。|如果在被动模式下运行IAST，那么开发测试过程中就可以完成安全扫描，不会像DAST一样导致业务报警进而干扰测试，同时由于污点跟踪测试模式，IAST可以像SAST一样精准的发现问题点|| |SCA（软件成分分析）|有大量的

can automatically run your code through Kiuwan Code Security, a static application security testing (SAST) suite that is compliant with the most stringent security standards, such as OWASP and Common Weakness

/765e06e14b11df0e8280adaf757d68e4/p20_1.jpg) 靜態應用安全測試 (白箱測試): Static Application Security Test (SAST) 靜態應用安全測試：Interactive Application Security Test (IAST) 動態應用安全測試 (黑箱測試): Dynamic Application Security

Synopsys Coverity https://www.synopsys.com/software-integrity/security-testing/static-analysis-sast.html SonarSource https://www.sonarsource.com Static Analysis Tool Clang Static Analyzer ht

Skip this if you plan to push up an existing repository. Enable Static Application Security Testing (SAST) Analyze your source code for known security vulnerabilities. Learn more. Create project Cancel

快出一个数量级，这是一个巨大的优势，有助于减少大型代码库的构建时间。基于上述原因，Ruff 已成为我们实施 Python linter 的默认选择。 ### 45. Snyk 采纳 Snyk 提供静态应用程序安全测试（SAST）和软件组件分析（SCA）测试，以帮助您在软件开发生命周期中寻找、修复和监控安全问题。其广泛的功能旨在加快反馈循环，倾向于采用“左移”方法，而不是安全三明治反模式。作为今天可用的最佳安全平台之一，Snyk

"Australia" abbreviation set now contains only CST, EAST, EST, SAST, SAT, and WST, all of which are thought to be mostly historical usage. Note that SAST has also been changed to be South Africa Standard Time “Australia” abbreviation set now contains only CST, EAST, EST, SAST, SAT, and WST, all of which are thought to be mostly historical usage. Note that SAST has also been changed to be South Africa Standard Time “Australia” abbreviation set now contains only CST, EAST, EST, SAST, SAT, and WST, all of which are thought to be mostly historical usage. Note that SAST has also been changed to be South Africa Standard Time

“Australia” abbreviation set now contains only CST, EAST, EST, SAST, SAT, and WST, all of which are thought to be mostly historical usage. Note that SAST has also been changed to be South Africa Standard Time “Australia” abbreviation set now contains only CST, EAST, EST, SAST, SAT, and WST, all of which are thought to be mostly historical usage. Note that SAST has also been changed to be South Africa Standard Time “Australia” abbreviation set now contains only CST, EAST, EST, SAST, SAT, and WST, all of which are thought to be mostly historical usage. Note that SAST has also been changed to be South Africa Standard Time